ISO 27001, BSI, NIST: Compliance-Wissen, das im ERP wohnt

Die Herausforderung

ISO 27001 verlangt 93 Maßnahmen aus Anhang A, ISO 9001 ein Management Review mit belastbaren Kennzahlen, die DSGVO ein Verzeichnis der Verarbeitungen. In vielen Betrieben lebt das alles in Ordnern und Tabellen: eine Excel-Liste mit Controls, die mit keiner echten Aufgabe verbunden ist, eine Kennzahlendatei, die einmal im Quartal von Hand zusammengetragen wird, und Benutzerrechte, die man lieber nicht nachzählt. Vor dem Audit wird dann gesucht. Compliance, die nur behauptet wird, kostet jedes Jahr dieselbe Woche.

Was wir gebaut haben

Eine Modulfamilie im ERP, gebaut auf Odoo 18 und den offenen Managementsystem-Modulen der Odoo-Community:

• ISMS nach ISO/IEC 27001:2022: alle 93 Annex-A-Controls und die Normklauseln 4 bis 10 vorbespielt. Jedes Control hängt an einer Aufgabe, einem Normtext und einer verantwortlichen Person. Zuordnungen zeigen, welche BSI-Grundschutz-Anforderung und welche NIST-Subkategorie gleich mit erfüllt wird. Ein Risikoregister verknüpft Bedrohungen mit konkreten Anlagen und Geräten, eine klickbare Heatmap zeigt sie vor und nach den Maßnahmen. Tritt ein Risiko ein, wird daraus eine Nichtkonformität.
• QMS nach ISO 9001: dieselbe Mechanik für Klauseln, Audits, Nichtkonformitäten und Prozessrisiken.
• Verarbeitungsverzeichnis nach DSGVO: jede Verarbeitung als Eintrag im QM, offene Punkte mit Ampel – die KI-Nutzung inklusive.
• Kennzahlen und Management Review: ein Katalog mit versionierten Definitionen. Viele Werte rechnet das System selbst aus Rechnungen, Aufträgen und Fertigung, die Historie kam aus der alten Excel-Datei. Im Review wird der Stand eingefroren und freigegeben.
• Rollen und Rechte: Anmeldung per Single Sign-on, Rollen aus Verzeichnisgruppen, Menüs gesperrt, bis ein Bereich freigeschaltet ist. Ein täglicher Report meldet neue kritische Rechte samt Verursacher aus dem Auditlog.
• Normen-Wissensbasis: ein versionierter Korpus mit BSI-Grundschutz-Kompendium, NIST CSF 2.0, NIS2 und eigenen Zuordnungen. In Erprobung: eine KI-Fragebox, die mit Quellenverweis antwortet.

Was es bringt

Aus einer Excel-Datei mit rund 27 Kennzahlen ist ein Katalog mit über 80 geworden, Historie zurück bis 2023 inklusive. Über 20 Verarbeitungstätigkeiten stehen im ERP statt im Ordner. Über 30 Rollenprofile in acht Gruppen regeln, wer was sieht – darunter drei Angreiferprofile, damit das Risikoregister weiß, vor wem es warnt. Der Rechte-Report läuft jeden Morgen um vier, ob jemand hinsieht oder nicht. Und die Frage, wie NIS2 Artikel 21 und Anhang A zusammenhängen, ist keine Suchaktion mehr.

Ehrlich gesagt: Das ist ein Managementsystem, kein Zertifikat. Es ist nach ISO 27001 strukturiert – zertifizieren muss weiterhin ein Auditor. Er findet nur schneller, was er sucht.

Für wen das passt

Für Produktionsbetriebe und KMU mit ISO-9001-Zertifikat, ISO-27001-Ambition oder NIS2-Pflichten, die ihr Managementsystem dort führen wollen, wo die Arbeit ohnehin passiert – im ERP, ohne ein weiteres Compliance-Werkzeug mit eigener Lizenz.